Nej, du må ikke få administrator adgang!

Nej, du må ikke få administrator adgang!

“Carte blanche” er et sjovt ord at sige, men hvis man bruger det i en sætning der omhandler IT-sikkerhed, får det en lidt mere alvorlig betydning: “Vi gav vores medarbejdere carte blanche adgang til deres arbejdsstationer, og nu har vi fået flere virusser end Statens Serum Institut.” Det lyder ikke så godt…

Problemet

Det er farligt at give brugerne fuld kontrol over deres PC’er – af flere forskellige grunde. Selvfølgelig vil jeg ikke antyde, at en medarbejder ikke vil bruge deres administrator adgang med omtanke. Men selv en person med de bedste intentioner kan ved et uheld gøre noget, der bringer dit IT-miljø i fare, og problemet ligger i de privilegier, som lokale administrative rettigheder giver brugerne. Med administratorrettigheder har brugerne mulighed for at downloade, installere og køre ikke-godkendte programmer uden tilsyn. Konfigurere systemindstillinger, herunder tilbagerulning af sikkerhedsændringer og redigering i registreringsdatabasen, hvilket kan føre til et ustabilt operativsystem. Derudover kan de også se og redigere enhver fil på computeren, herunder dem, der tilhører andre brugere, hvis arbejdsstationen eksempelvis deles. Disse eksempler er kun noget af det som kan gå galt.

Den største bekymring er evnen til at downloade et hvilket som helst stykke software brugeren ønsker. I værste fald (og desværre ret almindeligt), er programmet vært for malware. Det kan skabe store problemer hvis malwaren får frit spil på jeres interne netværk, og inficere servere og PC’er, og måske endnu værre, kryptere dem med ransomware. Omkostningerne kan være katastrofale og beløbe sig i millioner af kroner.
Du kan læse mere om malware og ransomware lige her.

Som altid er det bedre at forbygge end at behandle.

“Men skal brugeren ikke at klikke på noget? Altså for at installere malwaren?”

Som onklen til en kendt teenage superhelt engang sagde: “med stor magt, kommer stort ansvar.” Ved at give en medarbejdere administrationsrettigheder, giver du også give de samme rettigheder til alle ondsindede programmer som kan inficere systemet og når det er kommet ind, kan det med lethed spredes på tværs af dit IT-system og udnytte de admin rettigheder du gav din medarbejder og ændre indstillinger, og for alvor skabe ravage. Du tænker måske, “Men skal brugeren ikke at klikke på noget? Altså for at installere malwaren?” Svaret er jo, nogle gange. Noget malware kræver minimal brugerinteraktion. nogle er fuldt ud i stand til at installere og sprede sig på egen hånd.

Alternativet

Alternativet til lokale administrator rettigheder er en politik som kun giver brugeren det absolutte minimum niveau af tilladelser, de har brug for at gøre deres arbejde korrekt. Jo flere privilegier, der gives, jo større ansvar, og dermed jo større samlet risiko. Faktisk har undersøgelser vist, at virksomheder kan afbøde virkningerne med mere end 80% af alle de kritiske sikkerhedshuller i Microsofts systemer (i nogle undersøgelser, det er op mod 95%), blot ved at fjerne admin adgangsrettigheder. Det er tal man ikke kan ignorere!

Men hvad er ulemperne så ved den politik? Den helt store ulempe er bøvlet. Hvis du har brug for at downloade noget som er nødvendigt til din job funktion, kan det være besværligt at skulle navigere rundt i et stift bureaukrati, især når det er et program, der vil øge produktiviteten. Derfor må målet være at skabe en balance mellem sikkerhed og bekvemmelighed.

Løsningen

En af løsninger på dette er at bruge PAM software. PAM (Privileged Access Management) er kort fortalt en måde hvorpå man kan fjerne den lokale administrator adgang, og tildele mindst mulige rettigheder til brugeren og dermed reducere risikoen for hackerangreb med op til 95%. Samtidig kan man nemt, løbende give rettigheder til at installere og køre programmer som brugerne har behov for, samt forhåndsgodkende virksomhedens applikationer og de rettigheder de har behov for, for at kunne køre korrekt. Det giver selvfølgelig en smule mere arbejde, men jeg mener det er en lille pris at betale for den øgede sikkerhed.

Som altid når man hæver sikkerheden sænker man også bekvemmeligheden. Men når alt kommer til alt, uanset situationen, bør administrator adgange ikke deles med dine slutbrugere. Når sandheden skal frem, kan det ikke engang anbefales, at vi har administrative rettigheder på vores hjemmecomputere – sikkerhedsrisikoen er simpelthen for stor. Men det er en diskussion til en anden dag.